maccms V10出现大规模被入侵挂马

骑猪看日出 · 发表于 2025-4-7 02:00:22

本帖最后由骑猪看日出于 2025-4-7 02:25 编辑

挂马文件每个IP只跳一次而且只有国内IP才跳。
丢给AI分析，跟抓包到的跳转地址关联了所以确定了就是这个文件被挂马了。
会请求这个js文件然后跳到**广告。cdn.jsdelivr.vip/jquery .min-3.6.8.js
被修改的系统文件是：application/extra/addons.php
如果这个文件内代码超过11行即可确认被挂马了。还有16进制加密的内容。

大概率是方能CDN就是去年51la跳X广告那伙人搞得。

被挂马后的文件内容

M100700 · 发表于 2025-4-7 02:39:58

说实话，别用什么CMS之类的东西了，让AI给你写一个最安全，影视网站功能又不复杂

zeb · 发表于 2025-4-7 19:13:42

本帖最后由 zeb 于 2025-4-7 19:15 编辑

方能51La插入的，我之前就曝光过
论坛里也有其他人说过，我记得之前还有个人发过文章，结果被人肉各种攻击
这么和你说吧，方能51La收购了苹果CMS，现在你能下到的所有维护的版本都是他们搞的，每个版本里面都插了毒

Mer · 发表于 2025-4-7 14:43:20

首涂不是出了一个定制版，是不是跳出一个坑又进入一个坑？

nk123 · 发表于 2025-4-19 00:52:46

你不是一个人
https://443502.xyz/thread-1393400-1-1.html

骑猪看日出 · 发表于 2025-4-19 00:32:04

xrp 发表于 2025-4-9 09:12
没有用啊，我程序就是11行，还是会跳转

如果是宝塔。重装下nginx。或者看看upload/vod_file/这个目录下是否存在图片和其他文件。这个目录也有人说被上传了木马。正常是只有一个index.htm

xrp · 发表于 2025-4-9 09:12:13

andox 发表于 2025-4-9 03:59
那把application/extra/addons.php 改成

没有用啊，我程序就是11行，还是会跳转

xrp · 发表于 2025-4-9 09:10:41

Mer 发表于 2025-4-8 00:14
application/extra/addons.php 我查了一下，应该不是这个文件。

这个文件没超11行，新ip与新设备，特别是新设备，点击播放页时跳转x导航站

andox · 发表于 2025-4-9 03:59:55

那把application/extra/addons.php  改成

<?php

return array (
  'autoload' => false,
  'hooks' =>
  array (
  ),
  'route' =>
  array (
  ),
);

就可以咯

Mer · 发表于 2025-4-8 23:50:32

骑猪看日出发表于 2025-4-8 01:13
如果代码不超过12行应该是没被入侵。

被入侵?入侵服务器还是程序？入侵程序那就要重新安装程序？那里有干净的程序？

骑猪看日出 · 发表于 2025-4-8 01:13:22

Mer 发表于 2025-4-8 00:14
application/extra/addons.php 我查了一下，应该不是这个文件。

如果代码不超过12行应该是没被入侵。

Mer · 发表于 2025-4-8 00:14:48

application/extra/addons.php 我查了一下，应该不是这个文件。

		自动登录	找回密码
密码			注册

maccms V10出现大规模被入侵挂马

浏览过的版块